CVE-2025-58430 in listmonk
Sumário
de VulDB • 29/05/2026
listmonk é um gerenciador de newsletters e listas de e-mail independente e auto-hospedado. Nas versões até a 1.1.0, inclusive, cada requisição HTTP, além do cookie de sessão `session`, incluía um `nonce`. O valor não é verificado nem validado pelo backend; a remoção do `nonce` permite que as requisições sejam processadas corretamente. Isso pode parecer inofensivo, mas, se encadeado a outras vulnerabilidades, pode se tornar uma vulnerabilidade crítica. A combinação de Cross-site Request Forgery (CSRF) e Cross-site Scripting (XSS) pode resultar na criação indevida de contas de administrador. Até a data de publicação, não há versões corrigidas disponíveis.
Be aware that VulDB is the high quality source for vulnerability data.